Katalog podatności CVE

Przełącznik PLANET GS-4210-16P2S V3 z oprogramowaniem przed wersją 3.441b260626 zawiera uwierzytelnioną podatność na wstrzyknięcie poleceń systemu operacyjnego w /cgi-bin/httpuploadcert.cgi. Pole hasła certyfikatu w żądaniu przesyłania certyfikatu jest wstawiane do polecenia powłoki bez sanityzacji metaznaków powłoki. Zdalny atakujący z uprawnieniami administratora może przesłać spreparowane żądanie przesyłania certyfikatu, aby wykonać dowolne polecenia systemu operacyjnego na urządzeniu.

Przełącznik PLANET GS-4210-16P2S V3 z oprogramowaniem przed wersją 3.441b260626 zawiera uwierzytelnioną podatność na wstrzyknięcie poleceń systemu operacyjnego w /cgi-bin/dispatcher.cgi. Obsługa web_vlan_membership_edit_dialog_post wstawia parametr memberTags do polecenia powłoki bez sanityzacji. Zdalny uwierzytelniony atakujący może wysłać spreparowaną wartość memberTags, aby wykonać dowolne polecenia systemu operacyjnego na urządzeniu.

Podatność typu 'type confusion' w Microsoft Edge (opartym na Chromium) pozwala nieautoryzowanemu atakującemu na wykonanie kodu przez sieć.

SpringBlade w wersjach od 2.7.3 do 5.0.0 (z wyłączeniem) zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionym atakującym tworzyć konta administratorów systemu poprzez wysyłanie spreparowanych żądań POST do niechronionego wewnętrznego punktu końcowego Feign do tworzenia użytkowników, wystawionego przez @RestController bez kontroli autoryzacji. Atakujący mogą wykorzystać filtr uwierzytelniania bramy, który tylko weryfikuje parsowanie JWT bez sprawdzania ról użytkownika lub tożsamości wywołującego, oraz wykorzystać zakodowany na stałe klucz podpisu JWT osadzony w publicznie dostępnych plikach JAR do sfałszowania tokenów i eskalacji uprawnień z użytkownika o niskich uprawnieniach do administratora, umożliwiając zanieczyszczanie danych między dzierżawcami i trwały dostęp backdoor.

PowSyBl (Power System Blocks) przed wersją 7.2.2 zawiera podatność na wstrzykiwanie poleceń w UnixLocalCommandExecutor i WindowsLocalCommandExecutor, które łączą argumenty poleceń i zmienne środowiskowe w ciągi interpretowane przez bash -c lub cmd /c bez wystarczającego escapowania. Wartości kontrolowane przez atakującego, które trafiają do UnixLocalCommandExecutor.execute, WindowsLocalCommandExecutor.execute, LocalComputationManager.execute, ParallelLoadFlowActionSimulator.run, ActionSimulatorTool.run, AmplModelRunner.run lub AmplModelRunner.runAsync, mogą wyrwać się z zamierzonego polecenia i wykonać dowolne polecenia powłoki jako użytkownik JVM. Dotknięte ścieżki itools obejmują action-simulator z task-count, security-analysis z external i dynamic-security-analysis. Narzędzia CLI, biblioteki, front-endy REST i wielodostępne usługi analizy sieci, które przekazują mniej zaufane identyfikatory kontyngencji lub parametry obliczeniowe do tych API, mogą wystawić wstrzykiwanie zdalnie. Problem jest naprawiony w wersji 7.2.2.

phpSysInfo przed wersją 3.4.6 zawiera podatność w kontroli dostępu PSI_ALLOWED w read_config.php, która ufa kontrolowanym przez atakującego nagłówkom HTTP X-Forwarded-For i Client-IP przed REMOTE_ADDR. Zdalny nieuwierzytelniony atakujący może podać dozwolony adres w jednym z tych nagłówków, aby podszyć się pod zaufanego klienta i uzyskać dostęp do ujawnionych informacji o nazwie hosta, jądrze, CPU, pamięci, systemach plików i interfejsach sieciowych. Problem jest naprawiony w wersji 3.4.6.

Yamcs przed wersją 5.11.13 zawiera podatność w StaticFileHandler.locateFile, która rozwiązuje nieuwierzytelnioną ścieżkę żądania bez użycia Path.normalize i Path.toAbsolutePath, aby potwierdzić, że ścieżka bezwzględna pozostaje w skonfigurowanych staticRoots. Ścieżka zawierająca segmenty traversal może opuścić zamierzony katalog główny i zwrócić dowolny czytelny plik hosta. Wada znajduje się w yamcs-core/src/main/java/org/yamcs/http/StaticFileHandler.java i może ujawnić wrażliwe dane systemu operacyjnego i aplikacji. Problem jest naprawiony w wersji 5.11.13, a linia 5.12 jest naprawiona od wersji 5.12.0.

Yamcs przed wersjami 5.12.8 i 5.13.2 pomija kontrolę autoryzacji w kilku interfejsach API, takich jak IndexesApi, Cop1Api i TimeApi. Uwierzytelniony użytkownik z niskimi uprawnieniami może odczytywać metadane pakietów i zdarzeń, zmieniać stan łącza COP-1 oraz manipulować czasem symulacji.

Protego przed wersją 0.6.2 zamienia każdą gwiazdkę w dyrektywach Allow lub Disallow na leniwy symbol wieloznaczny, co przy wielu gwiazdkach prowadzi do wykładniczego cofania się. Przetworzenie złośliwego pliku robots.txt może spowodować długotrwałe dopasowywanie adresów URL i odmowę usługi.

WsgiDAV przed wersją 4.3.5 zawiera przykładowy provider MySQLBrowserProvider, który łączy klucz rekordu z adresu URL bezpośrednio z klauzulami SQL WHERE. Atakujący mający dostęp do udziału skonfigurowanego z tym nie-domyślnym providerem może wstrzyknąć SQL przez zwykłe żądanie GET.

Piccolo Admin przed wersją 1.14.0 zezwala nie-superużytkownikom na żądania GET do tabel użytkowników i sesji, a token sesji nie jest ukryty. Administrator bez uprawnień superużytkownika może uzyskać token sesji innego użytkownika i podszyć się pod superużytkownika.

ALOS HTTP przed wersją 0.0.0-20260617230736-314b6783e196 ma błąd w funkcji sanitizeRequestPath, która nie sprawdza, czy ścieżka po podziale jest pusta. Wysyłając żądanie ze ścieżką składającą się tylko z znaku zapytania, nieuwierzytelniony klient może wywołać panikę i zatrzymać proces serwera.

Bifrost przed wersją 1.5.17 błędnie klasyfikuje adresy z zakresów CGNAT, 6to4, NAT64 i fec0::/10 jako publiczne. Atakujący kontrolujący adres URL multimodalnego żądania może sprawić, że brama pobierze zasoby z wewnętrznych usług, w tym metadane instancji chmury.

MariaDB Connector/Node.js przed wersjami 3.3.3, 3.4.6 i 3.5.3, gdy SSL jest włączony bez przypiętego certyfikatu CA lub serwera, wysyła poświadczenia przed zakończeniem weryfikacji odcisku certyfikatu. Aktywny atakujący typu man-in-the-middle może przechwycić hasło bazy danych.

KubeVela przed wersjami 1.9.14, 1.10.9 i 1.11.0-alpha.4 ma podatność w ładowaniu zdalnej konfiguracji Terraform. Użytkownik z uprawnieniami do tworzenia lub aktualizacji ComponentDefinition może wskazać zmienną terraform.path na /dev/zero, co prowadzi do nieograniczonego odczytu i wyczerpania pamięci.

Vikunja przed wersją 2.4.0 ma podatność w punkcie końcowym POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks. Autoryzacja sprawdza tylko projekt, widok i kubełek z URL, ale nie sprawdza uprawnień do zadania, co pozwala uwierzytelnionemu użytkownikowi odczytać i modyfikować zadania z innych dzierżaw.

Vikunja od wersji 0.24.6 do 2.4.0 ma podatność w punkcie końcowym DELETE /api/v1/projects/:project/views/:view. Uwierzytelniony użytkownik może podać identyfikator widoku z innego projektu, a autoryzacja sprawdza tylko identyfikator projektu, co pozwala na usunięcie przypisań Kanban i kolejności zadań w innych dzierżawach.

dd-trace-rs to biblioteka Datadog do monitorowania wydajności aplikacji w języku Rust. W wersjach od 0.1.0 do 0.3.3 parsowanie nagłówka W3C tracestate w pliku tracecontext.rs zbiera wszystkie pary klucz-wartość z wpisu dd=... do HashMap bez ograniczeń liczby par ani rozmiaru wpisu. Ponieważ ekstrakcja tracecontext jest domyślnie włączona, zdalny nieuwierzytelniony atakujący może wysłać dowolnie duży wpis dd=..., powodując nadmierne zużycie CPU i pamięci dla każdego żądania, co prowadzi do odmowy usługi w instrumentowanej usłudze sieciowej. Podatność została naprawiona w wersji 0.3.3.

Nieprawidłowa kontrola dostępu w funkcji getUrlFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getDmzCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.